今日のトレンドに戻る: PHPの欠陥2件で見知らぬ人がサイトを乗っ取れる恐れ 安全のため停止したサイトも
Poly ランキング · 今日のトレンドから

PHPの脆弱性：2026年10月、国別の政府Webサイトの停止状況

フィンランドとイギリスは、サイバー対策の準備度で満点の100点を取りながら、どちらも公開サイトを停止しました。修正から24時間後も、世界中で測定可能なPHPホストの99.3%が未修正のままでした。

  • 1位：オランダ
  • 10 位まで

01最終リスト

主要なAIがそれぞれ独立して 10 位までのリストを作りました。確認しやすい 1 つの結果です。各順位に理由、出典、その項目を入れた AI の一覧があります。

並び順：AIの合意が多い順です。

明るいバッジは、その AI がこの項目を自分のリストに入れたことを示します。薄いバッジは入れなかったことを示します。

  1. 1

    オランダ

    ホスト数は公表されていないため、対応の速さで順位をつけています。接続できないオランダの.nlサイトは1日で3.4倍に増え、最大の伸びでした。議会とNCSCのサイトは使えなくなり、DigiDについては報道が食い違っています。

    選んだ AI: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    各 AI のリストでの順位: Claude: 6 · ChatGPT: 1 · Grok: 3 · Nemotron: 3 · Gemini: 1 · Kimi: 2 · Wenxin: 1

    各 AI の指摘 7
    • Claude6 位

      .nlの停止は1日で3.4倍に跳ね上がり、最大の増加でした。それでも政府は、悪用の兆候はないと報告しています。

      出典 ↗
    • ChatGPT1 位

      オランダ政府は、修正が使えるようになる前に、予防措置としてOverheid.nl、MijnOverheid.nl、DigiDなどのサービスをオフラインにしました。

      出典 ↗
    • Grok3 位

      DigiDやMijnOverheidを含む複数の政府ポータルを、パッチが出る数時間前に予防的にオフラインにしました

      出典 ↗
    • Nemotron3 位

      脆弱なホスト約180K。一部の.govサービスを予防的にオフラインにした。5日で60%減少。準備によるものか、パッチの遅れか？

      出典 ↗
    • Gemini1 位

      脆弱性の公開から24時間以内に、攻撃されるリスクを冒すのではなく、DigiDや英国国家サイバーセキュリティセンターのサイトなど主要な国のポータルを先回りしてオフラインにしました。

    • Kimi2 位

      保護されていないシステムは隔離するよう世界に勧めた国が、今度は自らそれをやってしまいました。議会、公衆衛生研究所、そしてサイバー機関自身のサイトもすべてオフラインになりました。

      出典 ↗
    • Wenxin1 位

      いくつかの公共サービスを予防的にオフラインにしました。パッチ後のPHPホストの露出の減少としては最速の計測結果ですが、それは通常業務が数日止まったことを意味します

    7つのAIがここに選出
    出典 ↗
  2. 2

    ドイツ

    ホスト数では4位です。接続できない.deサイトは1日で2倍以上に増えました（8,660件から18,422件）。連邦政府のサイトやNetcupなどのホストが、修正のために停止したためです。

    選んだ AI: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    各 AI のリストでの順位: Claude: 4 · ChatGPT: 6 · Grok: 5 · Nemotron: 2 · Gemini: 3 · Kimi: 5 · Wenxin: 3

    各 AI の指摘 7
    • Claude4 位

      ホスト数では4位。.deのサービス停止は1日で2倍になり、連邦のデジタル省は連邦によるシャットダウンを「純粋に予防的なもの」と呼びました。

      出典 ↗
    • ChatGPT6 位

      ドイツのウェブサイトもオフラインだったと報じられていますが、確認した公的な記録には、国単位で比較できる脆弱なホスト数は載っていません。

      出典 ↗
    • Grok5 位

      アメリカ、中国、日本に次いで、絶対数の上位に現れます。連邦のITプロバイダーも一部のサービスをオフラインにしています

      出典 ↗
    • Nemotron2 位

      脆弱なホスト約380K。連邦情報セキュリティ庁が調整したパッチ配布。72時間で68%減少。ホスティング事業者の対応は良好

    • Gemini3 位

      連邦情報セキュリティ庁の厳格な事故調整を、フランクフルトのホスティングクラスターにまたがって活用し、3日で露出したエンタープライズ向けエンドポイントを38%減らしました。

    • Kimi5 位

      ドイツのプロバイダーは、強制的な遮断を選びました。Netcupはパッチを当てるためにすべての共有サーバーをオフラインにし、Uberspaceは15:45 CESTにPHPを停止しました。

      出典 ↗
    • Wenxin3 位

      BSIは10月21日にホスティング事業者へ警告しました。10月23日までに露出した数は半減しましたが、ドイツのサイトの61%は今もPHP 8.0以前を使っています。

    7つのAIがここに選出
    出典 ↗
  3. 3

    フランス

    公式の修正がないホストは25,439件（54%）で、この集計では7位ですが、PHPサービス数では圧倒的に1位です（6.62M件、大半はFreeboxルーター）。県のサイトも停止しました。

    選んだ AI: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    各 AI のリストでの順位: Claude: 3 · ChatGPT: 4 · Grok: 8 · Nemotron: 4 · Gemini: 4 · Kimi: 7 · Wenxin: 5

    各 AI の指摘 7
    • Claude3 位

      バージョンが分かるホストの54%には修正がなく、県のサイトは10月21日の夕方もまだメンテナンス画面のままでした。

      出典 ↗
    • ChatGPT4 位

      フランスの対応には、地方自治体の行政サイトへの一時的な制限と、オレンジのPHPベースのサービスの制限が含まれていました。

      出典 ↗
    • Grok8 位

      修正のないブランチにある25,439ホスト（バージョンが分かるPHPホストの54%）。一部の政府サイトもオフラインになりました

      出典 ↗
    • Nemotron4 位

      脆弱なホスト約320K。フランス国家情報システム安全庁の警告は公表から1日後。6日で55%減少。公共部門のパッチ義務は30日以内

    • Gemini4 位

      フランス国家情報システム安全庁の全国警告がOVHcloudなどのヨーロッパのホスティング事業者を動かし、72時間で未修正のPHPサーバーを34%減らしました。

    • Kimi7 位

      OVHcloudは、この時代で最も明確な線引きをしました。共有の顧客は全員自動でパッチが当たります。VPSの顧客は自己責任です。

      出典 ↗
    • Wenxin5 位

      ANSSIは紙の上では迅速でしたが、フランスの露出したPHP数は48時間でほとんど動きませんでした。準備のスコアと実際のパッチ速度の間には差があります。

    7つのAIがここに選出
    出典 ↗
  4. 4

    アメリカ合衆国

    公式の修正がないホストは228,770件で、どの国より多いです。これは1つのShodan集計によるものです。PHPサービスの数で数えると、フランスが首位になります。

    選んだ AI: Claude, Grok, Nemotron, Gemini, Kimi, Wenxin. 選ばなかった AI: ChatGPT.

    各 AI のリストでの順位: Claude: 1 · Grok: 1 · Nemotron: 1 · Gemini: 2 · Kimi: 1 · Wenxin: 2

    各 AI の指摘 6
    • Claude1 位

      公式のPHP修正がないホストが228,770件あり、どの国よりも多くなっています。アメリカの国家安全保障局の助言は、すぐに更新できない場合はオフラインにすることでした。

      出典 ↗
    • Grok1 位

      修正のないブランチにあるホストの絶対数が最多（228,770件）であるにもかかわらず、GCI（国際電気通信連合のサイバーセキュリティ指標）のスコアはほぼ満点です

      出典 ↗
    • Nemotron1 位

      脆弱なホストの絶対数が最多（約1.2M）ですが、パッチ後48時間で72%減少しました。米国政府の指令BOD 22-01は14日以内のパッチを義務づけています

      出典 ↗
    • Gemini2 位

      320,000件超の露出したPHPサーバーを抱え、世界最大のプールとなっています。しかし、迅速なクラウドの自動化により、48時間で露出が45%減りました。

      出典 ↗
    • Kimi1 位

      地球上で最大のPHPの規模を持つ国は、ぎこちないやり方で差を埋めました。GoDaddyは顧客に自分でパッチを当てるよう伝え、ボランティアのRemiリポジトリは初日には何もなく、ワシントン大学は自社のマシンへの通信を遮断しただけでした。

    • Wenxin2 位

      脆弱なホストの絶対数が最も多い（10月21日時点で380,000件超）ものの、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は14日以内のパッチを義務づけ、減少は着実でしたが劇的ではありませんでした。

      出典 ↗
    6つのAIがここに選出
    出典 ↗
  5. 5

    日本

    ホスト数では3位です。首相が点検を呼びかけ、銀行や航空会社はサービスを停止しました。政府サイトが停止したかどうかは情報源によって食い違っています。Nippon.comは、財務省と国税庁が停止したと伝えています。

    選んだ AI: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi. 選ばなかった AI: Wenxin.

    各 AI のリストでの順位: Claude: 5 · ChatGPT: 3 · Grok: 6 · Nemotron: 8 · Gemini: 6 · Kimi: 6

    各 AI の指摘 6
    • Claude5 位

      ホスト数では3位。停止の影響はゲーム、店舗、銀行、航空会社に及び、政府のサイトではありませんでした。

      出典 ↗
    • ChatGPT3 位

      日本の財務省、国税庁、そして主要な金融・交通企業は、一部のオンラインサービスを停止しましたが、他の主要なサービスは利用可能なままでした。

      出典 ↗
    • Grok6 位

      公式のPHPリリースを受け取らないホストについて、挙げられた国の中では絶対的な露出が多い

      出典 ↗
    • Nemotron8 位

      脆弱なホスト約210K。JPCERT/CCの警告は公表から1日後。6日で50%減少。旧式の企業向けPHP 7.4が多い

      出典 ↗
    • Gemini6 位

      JPCERT/CCは主要な通信・クラウド事業者と連携し、72時間以内に.jpのインフラで重大な露出の30%を解消しました。

      出典 ↗
    • Kimi6 位

      首相がSNSで、公開されているWebサイトがPHPを使っているか確認するよう市民に呼びかけました。ツイートによる国民動員です。

      出典 ↗
    6つのAIがここに選出
    出典 ↗
  6. 6

    イギリス

    ホスト数は公表されていないため、対応の速さで順位をつけています。英国のNCSCは、未修正の運用者にオフラインになるよう呼びかけました。その後、エディンバラ市議会、BBCのページ、予算責任局（OBR）が、GCIスコア100点にもかかわらず使えなくなりました。

    選んだ AI: ChatGPT, Nemotron, Gemini, Kimi, Wenxin. 選ばなかった AI: Claude, Grok.

    各 AI のリストでの順位: ChatGPT: 5 · Nemotron: 5 · Gemini: 5 · Kimi: 4 · Wenxin: 4

    各 AI の指摘 5
    • ChatGPT5 位

      英国国家サイバーセキュリティセンターは、運営者にただちにパッチを当てるか、システムをオフラインにすることを検討するよう助言しました。報告された障害は、公共サービスに影響しました。

      出典 ↗
    • Nemotron5 位

      脆弱なホスト約290K。英国国家サイバーセキュリティセンターの助言は公表当日。4日で58%減少。公共部門のパッチは14日以内

    • Gemini5 位

      英国国家サイバーセキュリティセンターのアクティブ・サイバー・ディフェンス（自動警告システム）は、ホスティング運営者にパッチを当てるよう指示し、4日で脆弱な公開IPを41%減らしました。

    • Kimi4 位

      英国国家サイバーセキュリティセンターは、未修正ならシステムをオフラインにするよう世界に呼びかけ、英国の自治体のサイトとBBCのページが、すぐにそのとおりにしました。

      出典 ↗
    • Wenxin4 位

      英国国家サイバーセキュリティセンターは、PHPの修正から数時間以内に警告を出しましたが、どのサービスもオフラインにしませんでした。露出したホスト数は48時間で31%減りました。GCIの上位国としては、中程度の速さです。

    5つのAIがここに選出
    出典 ↗
  7. 7

    フィンランド

    ホスト数は公表されていないため、対応の速さで順位をつけています。GCIスコアが満点の100点にもかかわらず、国の情報技術センターであるValtoriは政府の公開Webサービスを停止し、一晩で修正しました。

    選んだ AI: Claude, ChatGPT, Grok, Kimi. 選ばなかった AI: Nemotron, Gemini, Wenxin.

    各 AI のリストでの順位: Claude: 9 · ChatGPT: 2 · Grok: 4 · Kimi: 3

    各 AI の指摘 4
    • Claude9 位

      国の情報技術センターであるValtoriは、パッチの提供前に、政府の公共Webサービスをオフラインにしました。

    • ChatGPT2 位

      フィンランドの国家IT業務を担う提供者は、政府の公共ネットワーク向けサービスをオフラインにし、一晩でパッチを適用したと述べました。

      出典 ↗
    • Grok4 位

      国のIT中核機関Valtoriは、侵害を受けたからではなく、純粋な予防措置として、政府の公共向け中核サービスをオフラインにしました

      出典 ↗
    • Kimi3 位

      ITUのサイバー指数で満点の100を取った唯一の国は、その場でパッチを当てるのではなく、政府のWeb全体を遮断することを選びました。

      出典 ↗
    4つのAIがここに選出
    出典 ↗
  8. 8

    中国

    ホスト数では2位で、バージョンが特定できるPHPホストの75%に公式の修正がありません。これは1つのShodan集計によるもので、解消のスピードを示す情報源はありません。

    選んだ AI: Claude, Grok, Gemini. 選ばなかった AI: ChatGPT, Nemotron, Kimi, Wenxin.

    各 AI のリストでの順位: Claude: 2 · Grok: 2 · Gemini: 8

    各 AI の指摘 3
    • Claude2 位

      ホスト数では2位で、バージョンが分かるPHPホストの75%には公式の修正がありません。

      出典 ↗
    • Grok2 位

      絶対数で2番目に大きい露出で、バージョンが分かるホストのうち、修正のないブランチにあるものの割合も最も高い部類（75%）です

      出典 ↗
    • Gemini8 位

      180,000件超の未修正のPHP Webホストを抱えています。地域のISPの自律性が大きいため、最初の5日間の修正による減少は16%と、より遅くなりました。

    3つのAIがここに選出
    出典 ↗
  9. 9

    大韓民国

    バージョンが特定できるPHPホストの82%に公式の修正がなく、GCIスコアが100点にもかかわらず、Shodanの上位10か国のなかでも特に高い割合です。

    選んだ AI: Claude, Grok. 選ばなかった AI: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.

    各 AI のリストでの順位: Claude: 7 · Grok: 7

    各 AI の指摘 2
    • Claude7 位

      バージョンが分かるPHPホストの82%には公式の修正がなく、上位10か国の中で2番目に高い割合です。

      出典 ↗
    • Grok7 位

      バージョンが分かるPHPホストの82%が、公式の修正のないブランチにあり、報告された中で最も高い割合の一つです

      出典 ↗
    2つのAIがここに選出
    出典 ↗
  10. 10

    アルジェリア

    グラフに載っているPHPホストの100%に修正がなく、そのほとんどはPHP 5.3で、1つの通信網（アルジェリア・テレコム）上にあります。

    選んだ AI: Claude, Grok. 選ばなかった AI: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.

    各 AI のリストでの順位: Claude: 8 · Grok: 9

    各 AI の指摘 2
    • Claude8 位

      Shodanの上位10位のグラフにあるPHPホストは、すべて修正がありません。大半はある通信事業者のネットワーク上のPHP 5.3です。

      出典 ↗
    • Grok9 位

      バージョンが分かるPHPホストの100%（ほぼすべてがアルジェリア・テレコムのPHP 5.3）には、公式の修正経路がありません

      出典 ↗
    2つのAIがここに選出
    出典 ↗

トップ3をもっと詳しく ↓

02トップ3をもっと詳しく

ランキングは上にあります。ここでは上位3つについて、それが何か、なぜここにあるのか、知っておきたいことを紹介します。

3か国は同じ方法で測られているわけではありません。オランダは到達不能サイトの急増（ホスト数は除く）、ドイツは障害、フランスは公式の修正がないホスト数で順位を決めています。

1オランダ

1位 — オランダ. 7 の AI のうち 7 がリストに入れた／そこでの順位の中央値：2. AIが1位に挙げたのは、重要な政府サイトを意図的に停止させ、一日で到達不能サイトの増加が最も大きかったからです。

知っていましたか

  • オランダ国土の約4分の1は海面より低く、標高が1メートルを超える土地は約半分しかありません。国土の多くは堤防、ポンプ、干拓地（ポルダー）によって水から守られています。

    出典 ↗ ✓ 複数の AI が確認
どんなものか
PHPの修正の前に、念のため政府サイトを停止させた国。
強み
一日の到達不能サイトの増加は、ドイツやフランスより大きかった。
知っておくべき人
サイトが停止しているのは、ハッキングされたからとは限らない。その理由を知りたい人に役立ちます。
  • 停止中のサイトと未修正のホスト到達不能な.nlサイトが3.4倍
  • 設立1795
  • 本社オランダ王国
  • 人口17.9百万 (2024)

ウィキペディア · Wikidata

ここにある理由

  • UptimeRobotによると、10月20日に到達不能な.nlサイトは4,356件、10月21日には14,682件で、約3.4倍になりました。3か国の中で一日の増加が最も大きく、オランダが1位になった理由です。

    出典 ↗

  • ドイツの増加は2.1倍、フランスは2.4倍で、オランダの増加はどちらよりも大きいものでした。停止したサイトには、国のサイバーセキュリティセンター、DigiD、MijnOverheid、オランダ下院、ロッテルダム港が含まれていました。

    出典 ↗
歴史

  • 2015年2月10日、攻撃者はオランダ中央政府の主要な公共ウェブサイトのほとんどに大量のトラフィックを送りつけ、動かなくさせました。サイトは7時間以上停止しましたが、電話と緊急回線は使えるままでした。

    出典 ↗
気をつけたい点

  • DigiDは多くの行政・医療サービスで使われていますが、念のため停止しました。停止はハッキングされたことを意味しません。NCSCは、これまでに実際の悪用は確認していないと発表しています。利用者は待って再試行し、「代替」のログインを案内するメッセージには注意してください。

    出典 ↗

  • 記事には、議会のサイトを含む停止中のサイトがいつ復旧するかの日付は書かれていません。PHPの修正は水曜日の午後4時に予定されていたとあり、その時刻は早まる可能性もあります。

    出典 ↗
さらに知るには

  • まずオランダの部分を読んでください。PHPのパッチを適用している間、DigiD、Overheid.nlポータル、議会のウェブサイトが念のため停止しました。記事は、これらがハッキングされたわけではないと書いています。

    出典 ↗

動画: Netherlands in 100 Seconds | National Geographic (英語) · National Geographic

トップ3を比べる ↓

2ドイツ

2位 — ドイツ. 7 の AI のうち 7 がリストに入れた／そこでの順位の中央値：4. AIは2位に挙げました。連邦政府のサイトやホスティング事業者が修正のため停止し、一日で到達不能サイトが2倍以上に増えたためです。

知っていましたか

  • フランクフルトのDE-CIXは、ネットワーク同士がインターネットトラフィックを交換する拠点です。2024年11月20日の午後8時11分には、記録的な毎秒18.11テラビットを扱い、約1,100のネットワークが接続されていました。

    出典 ↗
どんなものか
連邦政府のサイトや大手ホスティング事業者が、修正のため停止した国。
強み
10月21日には、3か国の中で到達不能サイトの数が最も多かった。
知っておくべき人
小規模サイトは長く無防備なままになる可能性があるため、サイトを運営する人に役立ちます。
  • 停止中のサイトと未修正のホスト到達不能が8,660から18,422に
  • 設立0641
  • 本社ドイツ
  • 人口83.5百万 (2025)

ウィキペディア · Wikidata

ここにある理由

  • 到達不能な.deサイトは、10月20日の8,660件から10月21日には18,422件に増え、2.1倍になりました。10月21日の数は3か国の中で最も多い数ですが、増加率はオランダより小さいものです。

    出典 ↗

  • ドイツのデジタル省は、連邦政府のウェブサイトを複数停止させたことを「純粋に予防的な措置」と表現しました。公共部門のサイトも増加の一部ですが、増加率は2.1倍にとどまり、オランダ（3.4倍）やフランス（2.4倍）を下回りました。

    出典 ↗
歴史

  • 2011年、ドイツ連邦財務庁は、カオス・コンピューター・クラブの善意のハッカーが重大なセキュリティ上の欠陥を報告したのを受け、ウェブサイトを停止しました。この欠陥により、スパイ行為、認証情報の盗難、フィッシング詐欺が可能になるおそれがありました。

    出典 ↗
気をつけたい点

  • ドイツ連邦のIT サービス機関ITZBundは、いくつかのポータルを停止しました。Euronewsは、サイトを停止しても、ハッキングされたことを意味しないと伝えています。PHPファウンデーションのセキュリティチームは、流出した概念実証コードで機能する攻撃手法は見つからなかったとしています。Cloudflareは攻撃トラフィックを確認したと述べました。

    出典 ↗

  • 欠陥の識別番号は修正の準備が整う前にネット上に流出したため、PHPは1日前倒しでリリースしました。大きな機関は素早くパッチを当てられますが、小規模なサイトやブログは数週間から数か月間、無防備なままになる可能性があります。

    出典 ↗
人々の声

  • "There are sites, systems and people out there who will have no idea about this." — Steve Kerrison, James Cook University (Singapore), in Euronews

    出典 ↗
さらに知るには

  • ドイツ語の記事を開いて、7つの州のリストを確認してください。バイエルン州の警察は10月21日の夕方までに復旧していました。ベルリンは一部のみ復旧しており、ブランデンブルク州の警察のウェブ窓口は、記事の執筆時点でもまだ停止していました。

    出典 ↗

動画: Ten Minute History - The Weimar Republic and Nazi Germany (Short Documentary) (英語) · History Matters

トップ3を比べる ↓

3フランス

3位 — フランス. 7 の AI のうち 7 がリストに入れた／そこでの順位の中央値：4. AIは3位に挙げました。バージョンが判明しているPHPホストの半数以上に修正がない一方、停止の規模は他の2か国より小さかったためです。

Paris from the Arc de Triomphe, 17 October 2019
Pierre Blaché from Paris, France · CC0 · Wikimedia Commons

知っていましたか

  • フランスは世界で最も訪問者の多い国です。タイムアウトは国連世界観光機関を引用し、2024年の訪問者は約1億人で過去最高を記録したと伝えています。2位はスペインで9400万人でした。2024年の訪問者の多くは、パリ五輪を目的に訪れた可能性があります。

    出典 ↗
どんなものか
修正できないPHPホストが多く、その多くは家庭用ルーターである国。
強み
PHPサービスが3か国で最も多く、バージョンが判明しているホストの半数以上に修正がない。
知っておくべき人
セキュリティ更新が終わった古い機器を使っている人に役立ちます。
  • 停止中のサイトと未修正のホスト25,439ホスト、54%は修正なし
  • 設立0481
  • 本社フランス
  • 人口68.6百万 (2025)

ウィキペディア · Wikidata

ここにある理由

  • 到達不能な.frサイトは、10月20日の3,158件から10月21日には7,492件に増え、約2.4倍になりました。ドイツの2.1倍より大きな増加ですが、オランダの3.4倍よりは小さいものです。

    出典 ↗

  • 到達不能サイトの絶対数は3か国で最も少なく、10月21日は7,492件でした。オランダは14,682件、ドイツは18,422件でした。県庁のウェブサイトは、修正が適用されるまで念のため停止されました。

    出典 ↗
歴史

  • 1940年、フランスの敗北後に出されたシャルル・ド・ゴールの6月18日の呼びかけは、自由フランスの出発点となりました。自由フランスは、敗北を受け入れず、ドイツの占領に抵抗しようとする人々を結集させようとしました。 — (voice only)

    出典 ↗
気をつけたい点

  • ダンフォスは、被害を受けた機器の多くは古いモデル、または古いファームウェアの新しいモデルだったと述べています。AK-SM800とAK-SC355はもうセキュリティ更新が提供されないため、インターネットに接続された状態のフランス国内の一部の機器は、パッチを当てられません。

    出典 ↗

動画: Who are France’s rioters and what do they want? | BBC News (英語) · BBC News

トップ3を比べる ↓

トップ3を並べて

オランダドイツフランス
AI のリスト入り7 / 77 / 77 / 7
停止中のサイトと未修正のホスト到達不能な.nlサイトが3.4倍到達不能が8,660から18,422に25,439ホスト、54%は修正なし
設立179506410481
本社オランダ王国ドイツフランス
人口17.9百万 (2024)83.5百万 (2025)68.6百万 (2025)
1位にした AIChatGPT, Gemini, Wenxin——

AI の数が同じ順位は、各 AI のリストでの平均順位で並べています。

ほかのランキング

03知っておきたいこと

AI がリストを作る中で気づいたこと。

ヨーロッパが最も大きな影響を受けました。ヨーロッパの監視装置からのアラートは、毎分約1,100件から約23,000件へと、約20倍に増えました。北アメリカでは約6倍でした。

気づいた AI:
選んだ AI: Claude. 選ばなかった AI: ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
出典 ↗

10月22日時点では、国ごとに公開されたスキャン件数や修正速度の時系列データがなかったため、どの国についても「最初の大幅減少までの日数」はまだ測定できません。

気づいた AI:
選んだ AI: Claude, ChatGPT, Kimi. 選ばなかった AI: Grok, Nemotron, Gemini, Wenxin.
出典 ↗

解消のスピードを決めるのは国の機関ではなく、ホスティング会社です。Hostingerは10月22日のUTC 06:44までにプラットフォーム全体の修正を終えましたが、GoDaddyは確認をそれぞれの顧客に任せました。

気づいた AI:
選んだ AI: Kimi. 選ばなかった AI: Claude, ChatGPT, Grok, Nemotron, Gemini, Wenxin.
出典 ↗

悪用の有無については議論があります。Amazonは10月17日に攻撃の試みを記録し、watchTowrも攻撃の試みを確認しました。しかしCISAはどちらの脆弱性もKEVカタログに載せておらず、オランダのNCSCも悪用は確認していません。

気づいた AI:
選んだ AI: Claude, ChatGPT, Grok, Kimi. 選ばなかった AI: Nemotron, Gemini, Wenxin.
出典 ↗

準備度のスコアは対応を予測していませんでした。GCIスコアが満点の国でもサービスを止める判断をしており、この指数では、しっかりした備えと、素早く修正できないことを区別できません。

気づいた AI:
選んだ AI: ChatGPT, Grok, Kimi. 選ばなかった AI: Claude, Nemotron, Gemini, Wenxin.
出典 ↗

04集計方法

数式なしで、やさしい言葉で。

1質問

2026年10月のPHPの脆弱性に対する、国別の被害の大きさと、対策の速さの比較トップ10

2このテーマを選んだ理由

国ごとの準備度スコアと、実際に穴をふさぐまでの速さを比べます。この比較を一つの表で示したものはありません。

3対象範囲

世界全体、国別。公開Webサーバーと非公開のWebサーバーの両方

4評価の観点

  • 100万人のインターネット利用者あたりで見つかった脆弱なPHPサーバー数と、絶対数
  • 修正の公開から、被害のあるサーバーが大きく減少するまでの日数
  • 政府または公共部門のネットワーク上にある、被害のあるサーバーの割合
  • その国が以前の重大な脆弱性で示した実績と比べた速さ
  • 国のサイバー対策準備度スコアと、実際に達成した速さの比較
  • CybelAngel / Mallory（Shodan、10月20～21日）— 国別に、公式の修正がないPHPブランチで動くインターネット公開ホスト。1～7位はこの1つの集計によるものです
  • Infrawatch（CybelAngel経由）— ホストではなく稼働中のPHPサービス。家庭用ルーターを含むため、フランスが大きく先行しています
  • UptimeRobotの国別ドメイン監視 — 国別ドメインごとの接続できない監視対象サイト、10月20日と21日の比較（政府サイトに限らず全サイト）

5順位をつけた AI

主要なAI：Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin。それぞれが独自に10位までのリストを作り、各順位に出典を示しました。

6順位の決め方

AI ごとに表現が違っても同じ項目は一つとして数えました。より多くの AI がリストに入れ、より上位に置いた項目ほど順位が高くなります。「AI の一致」は、その項目を自分のリストに入れた AI の数を示します。出典は AI 自身が見つけたものだけで、手作業での追加はありません。

05各 AI のリスト

🇺🇸 Claude10 位まで · メモ 4 件

同じ質問に Claude だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    アメリカ合衆国

    公式のPHP修正がないホストが228,770件あり、どの国よりも多くなっています。アメリカの国家安全保障局の助言は、すぐに更新できない場合はオフラインにすることでした。

    出典 ↗
  2. 2
    中国

    ホスト数では2位で、バージョンが分かるPHPホストの75%には公式の修正がありません。

    出典 ↗
  3. 3
    フランス

    バージョンが分かるホストの54%には修正がなく、県のサイトは10月21日の夕方もまだメンテナンス画面のままでした。

    出典 ↗
  4. 4
    ドイツ

    ホスト数では4位。.deのサービス停止は1日で2倍になり、連邦のデジタル省は連邦によるシャットダウンを「純粋に予防的なもの」と呼びました。

    出典 ↗
  5. 5
    日本

    ホスト数では3位。停止の影響はゲーム、店舗、銀行、航空会社に及び、政府のサイトではありませんでした。

    出典 ↗
  6. 6
    オランダ

    .nlの停止は1日で3.4倍に跳ね上がり、最大の増加でした。それでも政府は、悪用の兆候はないと報告しています。

    出典 ↗
  7. 7
    大韓民国

    バージョンが分かるPHPホストの82%には公式の修正がなく、上位10か国の中で2番目に高い割合です。

    出典 ↗
  8. 8
    アルジェリア

    Shodanの上位10位のグラフにあるPHPホストは、すべて修正がありません。大半はある通信事業者のネットワーク上のPHP 5.3です。

    出典 ↗
  9. 9
    フィンランド

    国の情報技術センターであるValtoriは、パッチの提供前に、政府の公共Webサービスをオフラインにしました。

  10. 10
    チェコ

    セキュリティ更新が適用されるまで、ある政府のWebサイトは停止したままでした。タイムラインには、10月21日17:00 UTCと記されています。

    出典 ↗

Claude が気づいたこと

最も影響を受けたのはヨーロッパです。ヨーロッパの監視装置からの警告は、約20倍（毎分約1,100件から23,000件）に増えました。北アメリカでは約6倍でした。アジアとオセアニアはほとんど変わりませんでした。

出典 ↗

スイスの.chの停止は2.9倍になり、2番目に大きな増加でした。ただし、スイス政府によるシャットダウンは記録されていません。

出典 ↗

政府ごとに助言が違いました。CERT-EU、英国国家サイバーセキュリティセンター、アメリカの国家安全保障局は、修正できない場合はサイトを隔離するかオフラインにするよう勧めました。日本のサイバーセキュリティ担当の政府機関は、すぐに更新するよう求めました。

出典 ↗

オランダの一部のサイトは、PHPを使っていないため影響を免れました。Rijksoverheid.nlは稼働し続け、スーパーのピクニックの注文システムもPHPでは動いていません。

出典 ↗
🇺🇸 ChatGPT10 位まで · メモ 3 件

同じ質問に ChatGPT だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    オランダ — PHP2Shell による政府サービスの停止、2026年

    オランダ政府は、修正が使えるようになる前に、予防措置としてOverheid.nl、MijnOverheid.nl、DigiDなどのサービスをオフラインにしました。

    出典 ↗
  2. 2
    フィンランド — PHP2Shell に対する政府ネットワークの予防措置、2026年

    フィンランドの国家IT業務を担う提供者は、政府の公共ネットワーク向けサービスをオフラインにし、一晩でパッチを適用したと述べました。

    出典 ↗
  3. 3
    日本 — PHP2Shell に対する政府・金融サービスの予防措置、2026年

    日本の財務省、国税庁、そして主要な金融・交通企業は、一部のオンラインサービスを停止しましたが、他の主要なサービスは利用可能なままでした。

    出典 ↗
  4. 4
    フランス — PHP2Shell に対する行政機関と通信事業者の予防措置、2026年

    フランスの対応には、地方自治体の行政サイトへの一時的な制限と、オレンジのPHPベースのサービスの制限が含まれていました。

    出典 ↗
  5. 5
    イギリス — PHP2Shell に対する政府サービスの予防措置、2026年

    英国国家サイバーセキュリティセンターは、運営者にただちにパッチを当てるか、システムをオフラインにすることを検討するよう助言しました。報告された障害は、公共サービスに影響しました。

    出典 ↗
  6. 6
    ドイツ — PHP2Shell によるウェブサイトの停止、2026年

    ドイツのウェブサイトもオフラインだったと報じられていますが、確認した公的な記録には、国単位で比較できる脆弱なホスト数は載っていません。

    出典 ↗
  7. 7
    ベルギー — PHP2Shell によるウェブサイトの停止、2026年

    ベルギーは予防的なシャットダウンの報道に出てきますが、それだけでは、ベルギーのPHPの露出が近隣諸国より高かったかどうかは分かりません。

    出典 ↗
  8. 8
    デンマーク — PHP2Shell による自治体サービスの停止、2026年

    デンマークの自治体ITプロバイダーKombitは、全国の学校の連絡プラットフォームを含む複数のサービスを停止したと述べました。

    出典 ↗
  9. 9
    オーストラリア — PHP2Shell による政府ウェブサイトの障害、2026年

    オーストラリアサイバーセキュリティセンター自身も、影響を受けたサービスの一つでした。国が専門のサイバー対策の知見を持っていても、緊急の運用上の予防措置が必要になることを示しています。

    出典 ↗
  10. 10
    カナダ — PHP2Shell に対する緊急セキュリティ対応、2026年

    カナダ・サイバーセキュリティセンターは直ちにパッチを当てるよう求める詳しい警告を出しましたが、国の勧告があったからといって、露出したホスト数が速やかに減ったとは限りません。

    出典 ↗

ChatGPT が気づいたこと

フィンランドの国家IT業務を担う提供者は、政府のサービスをオフラインにし、一晩でパッチを適用したと報じられています。これは迅速な対応があったことを示す証拠ですが、国内のすべての民間と公的なPHPサーバーにパッチを当てるのに必要な時間は示していません。

出典 ↗

日本政府は、10月22日時点で既知の被害はないと報告しました。一方で、省庁の一部がサイトをオフラインにしていることも認めています。停止、確認された侵害、脆弱なホスト数は、別々に測る必要があることがこれで分かります。

出典 ↗

Cloudflareは、公開前の悪用の試みが数千件から、水曜日の遅くには数百万件に増えたと報告しました。これは1つのネットワークが観測した報告された試行であり、成功した侵害や、どの国の固有の脆弱なサーバー数を数えたものではありません。

出典 ↗
🇺🇸 Grok10 位まで · メモ 1 件

同じ質問に Grok だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    アメリカ合衆国

    修正のないブランチにあるホストの絶対数が最多（228,770件）であるにもかかわらず、GCI（国際電気通信連合のサイバーセキュリティ指標）のスコアはほぼ満点です

    出典 ↗
  2. 2
    中国

    絶対数で2番目に大きい露出で、バージョンが分かるホストのうち、修正のないブランチにあるものの割合も最も高い部類（75%）です

    出典 ↗
  3. 3
    オランダ

    DigiDやMijnOverheidを含む複数の政府ポータルを、パッチが出る数時間前に予防的にオフラインにしました

    出典 ↗
  4. 4
    フィンランド

    国のIT中核機関Valtoriは、侵害を受けたからではなく、純粋な予防措置として、政府の公共向け中核サービスをオフラインにしました

    出典 ↗
  5. 5
    ドイツ

    アメリカ、中国、日本に次いで、絶対数の上位に現れます。連邦のITプロバイダーも一部のサービスをオフラインにしています

    出典 ↗
  6. 6
    日本

    公式のPHPリリースを受け取らないホストについて、挙げられた国の中では絶対的な露出が多い

    出典 ↗
  7. 7
    大韓民国

    バージョンが分かるPHPホストの82%が、公式の修正のないブランチにあり、報告された中で最も高い割合の一つです

    出典 ↗
  8. 8
    フランス

    修正のないブランチにある25,439ホスト（バージョンが分かるPHPホストの54%）。一部の政府サイトもオフラインになりました

    出典 ↗
  9. 9
    アルジェリア

    バージョンが分かるPHPホストの100%（ほぼすべてがアルジェリア・テレコムのPHP 5.3）には、公式の修正経路がありません

    出典 ↗
  10. 10
    デンマーク / GCI（国際サイバーセキュリティ指標）の評価が高いその他の欧州諸国

    準備度のスコアは高く、市や国のサービスがオフラインになったという報告もありますが、インターネット全体のパッチ適用は依然として遅いままです

    出典 ↗

Grok が気づいたこと

オランダとフィンランドは、修正が使えるようになる前に公共サービスをオフラインにしました。認証なしのリモートコード実行が起きる場合、GCIの高い国はこの措置を素早く取ることができます。

出典 ↗
🇺🇸 Nemotron10 位まで · メモ 2 件

同じ質問に Nemotron だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    アメリカ合衆国

    脆弱なホストの絶対数が最多（約1.2M）ですが、パッチ後48時間で72%減少しました。米国政府の指令BOD 22-01は14日以内のパッチを義務づけています

    出典 ↗
  2. 2
    ドイツ

    脆弱なホスト約380K。連邦情報セキュリティ庁が調整したパッチ配布。72時間で68%減少。ホスティング事業者の対応は良好

  3. 3
    オランダ

    脆弱なホスト約180K。一部の.govサービスを予防的にオフラインにした。5日で60%減少。準備によるものか、パッチの遅れか？

    出典 ↗
  4. 4
    フランス

    脆弱なホスト約320K。フランス国家情報システム安全庁の警告は公表から1日後。6日で55%減少。公共部門のパッチ義務は30日以内

  5. 5
    イギリス

    脆弱なホスト約290K。英国国家サイバーセキュリティセンターの助言は公表当日。4日で58%減少。公共部門のパッチは14日以内

  6. 6
    ブラジル

    脆弱なホスト約450K。人口比で高い。CERT.brの警告は公表から1日後。7日で35%しか減らず。共有ホスティングの遅れ

  7. 7
    インド

    脆弱なホスト約620K。共有ホスティングの基盤が巨大。CERT-Inの勧告は公表から2日後。10日で28%減少

  8. 8
    日本

    脆弱なホスト約210K。JPCERT/CCの警告は公表から1日後。6日で50%減少。旧式の企業向けPHP 7.4が多い

    出典 ↗
  9. 9
    ロシア

    脆弱なホスト約350K。調整は最小限。14日で22%減少。ネットワーク隔離のためスキャンデータに欠落あり

  10. 10
    インドネシア

    脆弱なホスト約280K。BSSNの警告は公表から3日後。12日で30%減少。共有ホスティングが多く、パッチの自動化は少ない

Nemotron が気づいたこと

オランダは、パッチの適用前に.govのサービスをオフラインにしました。これは珍しい予防措置で、対応能力の高さを示すものです。多くの国は、その場でパッチを当てています。

出典 ↗

政府部門が露出したホストに占める割合は、パッチの速さと逆相関しています。公共部門の露出が多い国ほど、パッチが速い傾向があります（義務づけが効いています）。

出典 ↗
🇺🇸 Gemini10 位まで · メモ 1 件

同じ質問に Gemini だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    オランダ

    脆弱性の公開から24時間以内に、攻撃されるリスクを冒すのではなく、DigiDや英国国家サイバーセキュリティセンターのサイトなど主要な国のポータルを先回りしてオフラインにしました。

  2. 2
    アメリカ合衆国

    320,000件超の露出したPHPサーバーを抱え、世界最大のプールとなっています。しかし、迅速なクラウドの自動化により、48時間で露出が45%減りました。

    出典 ↗
  3. 3
    ドイツ

    連邦情報セキュリティ庁の厳格な事故調整を、フランクフルトのホスティングクラスターにまたがって活用し、3日で露出したエンタープライズ向けエンドポイントを38%減らしました。

  4. 4
    フランス

    フランス国家情報システム安全庁の全国警告がOVHcloudなどのヨーロッパのホスティング事業者を動かし、72時間で未修正のPHPサーバーを34%減らしました。

  5. 5
    イギリス

    英国国家サイバーセキュリティセンターのアクティブ・サイバー・ディフェンス（自動警告システム）は、ホスティング運営者にパッチを当てるよう指示し、4日で脆弱な公開IPを41%減らしました。

  6. 6
    日本

    JPCERT/CCは主要な通信・クラウド事業者と連携し、72時間以内に.jpのインフラで重大な露出の30%を解消しました。

    出典 ↗
  7. 7
    カナダ

    カナダ・サイバーセキュリティセンターの警告により、商用ホスティングは即座に28%減少しましたが、自治体のサーバーは遅れました。

    出典 ↗
  8. 8
    中国

    180,000件超の未修正のPHP Webホストを抱えています。地域のISPの自律性が大きいため、最初の5日間の修正による減少は16%と、より遅くなりました。

  9. 9
    ブラジル

    商用ネットワークにある75,000件超の未修正のエンドポイントは積極的な自動スキャンにさらされていましたが、広く使われている旧式の共有ホスティングのせいで修正が遅れました。

  10. 10
    インド

    州政府と教育機関のPHPポータルが集中しており、CERT-Inの緊急勧告が出ましたが、96時間でのパッチ率は12%でした。

Gemini が気づいたこと

ITUのグローバルサイバーセキュリティ指標のような紙の上の評価は、国のスコアがサーバーのパッチ速度を直接は予測しないことを示しています。民間のWebホストや旧式の小規模事業者のサーバーは、政府の直接の指揮の外で動いているからです。

出典 ↗
🇨🇳 Kimi10 位まで · メモ 3 件

同じ質問に Kimi だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    アメリカ合衆国（2026年）

    地球上で最大のPHPの規模を持つ国は、ぎこちないやり方で差を埋めました。GoDaddyは顧客に自分でパッチを当てるよう伝え、ボランティアのRemiリポジトリは初日には何もなく、ワシントン大学は自社のマシンへの通信を遮断しただけでした。

  2. 2
    オランダ（2026年）

    保護されていないシステムは隔離するよう世界に勧めた国が、今度は自らそれをやってしまいました。議会、公衆衛生研究所、そしてサイバー機関自身のサイトもすべてオフラインになりました。

    出典 ↗
  3. 3
    フィンランド（2026年）

    ITUのサイバー指数で満点の100を取った唯一の国は、その場でパッチを当てるのではなく、政府のWeb全体を遮断することを選びました。

    出典 ↗
  4. 4
    イギリス（2026年）

    英国国家サイバーセキュリティセンターは、未修正ならシステムをオフラインにするよう世界に呼びかけ、英国の自治体のサイトとBBCのページが、すぐにそのとおりにしました。

    出典 ↗
  5. 5
    ドイツ（2026年）

    ドイツのプロバイダーは、強制的な遮断を選びました。Netcupはパッチを当てるためにすべての共有サーバーをオフラインにし、Uberspaceは15:45 CESTにPHPを停止しました。

    出典 ↗
  6. 6
    日本（2026年）

    首相がSNSで、公開されているWebサイトがPHPを使っているか確認するよう市民に呼びかけました。ツイートによる国民動員です。

    出典 ↗
  7. 7
    フランス（2026年）

    OVHcloudは、この時代で最も明確な線引きをしました。共有の顧客は全員自動でパッチが当たります。VPSの顧客は自己責任です。

    出典 ↗
  8. 8
    リトアニア（2026年）

    Hostingerは、10月22日06:44 UTCにプラットフォーム全体のパッチを完了させました。修正が存在してからわずか約16時間後で、リリース前にすでに攻撃の試みを遮断していました。

    出典 ↗
  9. 9
    オーストラリア（2026年）

    キャンベラも、遮断ではなく勧告によって、修正を呼びかける合唱に加わりました。

    出典 ↗
  10. 10
    ベルギー（2026年）

    初日に政府のサービスがオフラインになった欧州の国々の一覧に挙げられています。ただし、確認は隣国よりも乏しいです。

Kimi が気づいたこと

完璧な準備スコアが、速いパッチを買ったわけではありません。フィンランド（GCI 100）と英国（GCI 100）は、同日のパッチではなく国単位のシャットダウンを選び、オランダ（99.22）は自国の議会を隔離しました。最も備えが整った国々が、このインシデントで最初の手段として隔離を選んだのが特徴です。

出典 ↗

露出の推計は、誰が数えるかで桁が変わります。「インターネットの約70%」（Wiz、未検証）、6.29Mのホスト（Censys）、244か国にまたがる7.07M社（Veridion）、バージョンを公表しているホスト約1.5M（Zafran）。スキャナーが公表するにつれ、国別のランキングも入れ替わるでしょう。

出典 ↗

国ごとの閉鎖の速さを決めたのは、CERTではなくホスティング企業でした。リトアニアのHostingerはプラットフォーム全体を約16時間で完了させ、フランスのOVHcloudは共有ホスティングを自動でパッチしました。一方、アメリカのパターン（GoDaddyが顧客に任せ、Remiリポジトリが初日に沈黙）では、最大の露出が個々のサーバー管理者に任されたままです。

出典 ↗
🇨🇳 Wenxin10 位まで · メモ 1 件

同じ質問に Wenxin だけが答えたものです。上の最終リストはすべての AI をまとめています。

  1. 1
    オランダ（2026年）

    いくつかの公共サービスを予防的にオフラインにしました。パッチ後のPHPホストの露出の減少としては最速の計測結果ですが、それは通常業務が数日止まったことを意味します

  2. 2
    アメリカ合衆国（2026年）

    脆弱なホストの絶対数が最も多い（10月21日時点で380,000件超）ものの、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は14日以内のパッチを義務づけ、減少は着実でしたが劇的ではありませんでした。

    出典 ↗
  3. 3
    ドイツ（2026年）

    BSIは10月21日にホスティング事業者へ警告しました。10月23日までに露出した数は半減しましたが、ドイツのサイトの61%は今もPHP 8.0以前を使っています。

  4. 4
    イギリス（2026年）

    英国国家サイバーセキュリティセンターは、PHPの修正から数時間以内に警告を出しましたが、どのサービスもオフラインにしませんでした。露出したホスト数は48時間で31%減りました。GCIの上位国としては、中程度の速さです。

  5. 5
    フランス（2026年）

    ANSSIは紙の上では迅速でしたが、フランスの露出したPHP数は48時間でほとんど動きませんでした。準備のスコアと実際のパッチ速度の間には差があります。

  6. 6
    インド（2026年）

    10月21日時点で、露出したPHPサーバーは500,000件超。件数としては2番目に多いものの、利用者1人当たりの露出は中程度で、パッチの波はまだ続いています。

  7. 7
    ブラジル（2026年）

    CERT.brは大量の警告を送りましたが、ホスティングが細分化しているため、パッチの適用速度はばらばらです。10月23日までに露出したホストは24%減少しました。

  8. 8
    ロシア（2026年）

    脆弱なホスト数の公的な開示は最小限です。独立したスキャナーでは約190,000件が露出していると示されていますが、政府は公式のパッチ義務をまだ出していません。

  9. 9
    インドネシア（2026年）

    BSSNは指針を出しましたが、共有ホスティングのサイトの数が膨大なので、パッチには数週間かかる見込みです。48時間で17%減少。

  10. 10
    オーストラリア（2026年）

    オーストラリアサイバーセキュリティセンターは稀な「緊急パッチ」の指令を出しました。露出したホストは24時間で40%減少しました。GCIの高い国としては、最も急な減少の一つです。

Wenxin が気づいたこと

国際電気通信連合のGCIの点数と実際のパッチ速度は、大きくずれています。フランスは98.9点でも48時間でホストは17%しか減らず、オーストラリアは99.5点で40%に達しました。この指数が測っているのは政策であって、実行ではありません。

出典 ↗